Transcrição sob NDAs: o fluxo de trabalho de conformidade

Quando você envia uma conversa gravada para um serviço de transcrição em nuvem, está divulgando essa conversa a um terceiro. A maioria dos acordos de confidencialidade restringe exatamente isso. O envio não viola automaticamente o seu NDA, mas, sem a estrutura contratual adequada, pode violar.

Este post aborda as cláusulas contratuais que você realmente precisa ler, como funciona na prática a cadeia de subprocessadores e um fluxo realista de aprovação interna para equipes que lidam com áudio sensível.

Por que a linguagem padrão do NDA cria um problema

Uma cláusula padrão de confidencialidade diz algo como:

O Destinatário não deverá divulgar Informações Confidenciais a nenhum terceiro sem o consentimento prévio por escrito da Parte Divulgadora.

Um serviço de transcrição em nuvem é um terceiro. No momento em que você envia o áudio, o serviço recebe o conteúdo dessa gravação. O envio é uma divulgação no sentido comum da palavra.

A solução não vem de reler a seção de definições. Ela vem de uma de duas correções estruturais:

1. Seu NDA inclui uma exceção para subprocessadores que permite serviços de nuvem vinculados a obrigações equivalentes.
2. Você obtém consentimento por escrito separado da outra parte para usar serviços de nuvem específicos.

A maioria dos modelos de NDA redigidos após 2018 inclui uma linguagem como: "O Destinatário poderá contratar subprocessadores de nuvem ou SaaS para fins de processamento interno, desde que esses subprocessadores estejam vinculados a obrigações de confidencialidade pelo menos tão restritivas quanto as deste Acordo." Se o seu NDA foi redigido antes dessa época, verifique se essa linguagem está presente. Se não estiver, você precisa de uma alteração contratual ou de uma carta paralela antes de enviar áudio confidencial.

Como ler a cadeia de subprocessadores

Quando você contrata qualquer serviço de transcrição em nuvem, não está contratando apenas aquela empresa. Está contratando a cadeia de subprocessadores dela. Uma cadeia realista para um SaaS de transcrição de médio porte tem esta aparência:

1. Você (controlador do áudio)
2. O serviço de transcrição (operador direto)
3. Armazenamento em nuvem (AWS S3, Cloudflare R2, Google Cloud Storage)
4. A API do modelo de IA (Deepgram, AssemblyAI, OpenAI Whisper ou similar)
5. Possivelmente outros subprocessadores: análises, monitoramento, rastreamento de erros

Cada elo deve estar coberto por uma obrigação de confidencialidade que desce do topo. Nos termos do Artigo 28 do GDPR, os operadores devem impor aos seus subprocessadores as mesmas obrigações de proteção de dados que o controlador impôs ao operador, e os operadores permanecem "integralmente responsáveis" se os subprocessadores deixarem de cumprir essas obrigações. Fora da UE, a mesma lógica se aplica à confidencialidade baseada em NDA: se o acordo original exige sigilo estrito, cada processador seguinte na cadeia deve estar vinculado a termos equivalentes.

Ao avaliar um provedor de transcrição, peça a lista de subprocessadores dele. Pergunte especificamente: qual entidade processa o áudio para a transcrição e qual é o acordo de retenção de dados com essa entidade? Algumas APIs de modelos de IA operam em modo de "retenção zero de dados", em que o áudio é processado, mas não armazenado após a inferência. Outras podem reter o áudio para garantia de qualidade ou melhoria de modelo, a menos que você cancele essa opção. Essas são posturas significativamente diferentes para trabalhos confidenciais.

A questão do treinamento por IA

Uma preocupação específica da transcrição por IA é saber se o modelo de IA conta como "divulgação" de forma persistente. O caso limpo: um modelo pré-treinado processa seu áudio no momento da inferência, nenhum dado persistente é armazenado e seu áudio nunca aparece em nenhum conjunto de dados de treinamento. O caso mais complicado: o provedor ou seu subprocessador de IA usa áudio de clientes para melhorar modelos futuros.

Se um provedor usa áudio de clientes para treinar seus modelos, é muito mais difícil defender isso como não divulgação. A ação coletiva contra a Otter.ai protocolada em agosto de 2025 (Brewer v. Otter.ai) incluía exatamente esta alegação: que o serviço usou reuniões gravadas para treinar seus modelos de IA sem consentimento adequado dos participantes. O caso foi consolidado com ações relacionadas e segue em litígio em meados de 2026. Independentemente do resultado, ele ilustra o risco prático e jurídico de usar um provedor sem um compromisso claro de "não treinamento" por escrito.

Peça a qualquer fornecedor a política explícita dele no DPA ou nos termos de serviço. "Não treinamos com seus dados" deve constar em um acordo assinado, não apenas em uma página de marketing.

O que um bom DPA para transcrição realmente cobre

Um acordo de tratamento de dados para trabalho com áudio confidencial deve abordar, no mínimo:

Limitação de escopo. Processamento apenas para a finalidade de fornecer o serviço de transcrição, não para qualquer uso secundário.

Cláusula de não treinamento. Proibição explícita de usar áudio de clientes para treinamento de modelos sem consentimento por escrito separado.

Lista de subprocessadores com aviso. Uma lista dos subprocessadores atuais de IA e infraestrutura, com compromisso de dar aviso prévio antes de adicionar ou alterar subprocessadores e direito do cliente de se opor.

Notificação de incidente. Notificação dentro de um prazo definido, tipicamente de 24 a 72 horas, sobre qualquer incidente de segurança que afete o áudio do cliente.

Exclusão de dados. Ao término do contrato, todo o áudio e as transcrições do cliente são excluídos ou devolvidos, com confirmação por escrito.

Direitos de auditoria. Direito do cliente de auditar, diretamente ou por meio de terceiro, a conformidade do provedor com o acordo.

Mecanismo de transferência internacional. Para áudio de origem na UE processado em infraestrutura dos EUA, devem ser incorporadas as Cláusulas Contratuais Padrão adotadas pela Comissão Europeia em 2021 (ou equivalente nos termos do Artigo 46 do GDPR). Isso é exigido independentemente de o fornecedor ter linguagem geral de GDPR em sua política de privacidade.

A maioria dos serviços profissionais de transcrição oferece um DPA mediante solicitação. Se um fornecedor se recusa a assinar um, esse é um sinal relevante sobre sua postura real de governança de dados.

Para uma análise detalhada das obrigações do GDPR e do que procurar em acordos com provedores, veja o post sobre transcrição em conformidade com o GDPR.

Atualizando o NDA que você assina com clientes

A exposição vai nos dois sentidos. Quando você é o prestador de serviço que transcreve gravações de trabalhos de clientes, o seu NDA com o cliente precisa antecipar o uso de ferramentas de nuvem.

A cláusula protetiva tem esta forma:

O Destinatário poderá usar serviços baseados em nuvem, incluindo provedores de transcrição por IA, para processar Gravações para os fins deste trabalho, desde que esses serviços estejam vinculados a obrigações de confidencialidade não menos restritivas que as deste Acordo, e o Destinatário permaneça responsável por qualquer violação cometida por esses serviços.

Sem essa linguagem, você está tecnicamente pedindo consentimento toda vez que envia uma gravação de cliente. A maioria dos clientes aceitará essa cláusula sem negociação, porque a alternativa — transcrição manual de cada arquivo de áudio — não é uma exigência realista. Mas modelos de contratos mais antigos muitas vezes nem a têm. Faça uma busca no seu modelo padrão de NDA pelas palavras "subprocessador" ou "nuvem". Se não aparecerem, adicione a cláusula antes do início do seu próximo trabalho.

Padrões por área de atuação

Prática jurídica

Advogados enfrentam o padrão mais alto, porque o dever de confidencialidade é ao mesmo tempo contratual e profissional. A Opinião Formal 477R da ABA (revisada em 2017) estabeleceu que serviços em nuvem são eticamente permitidos para dados de clientes se os advogados realizarem diligência devida proporcional à sensibilidade. A opinião 2025-6 da Ordem dos Advogados da Cidade de Nova York acrescentou que os advogados devem obter consentimento do cliente antes de gravar, verificar independentemente a precisão da transcrição e entender se a ferramenta treina com o conteúdo.

Até 2026, 42 estados haviam adotado o Comentário 8 da Regra Modelo 1.1 ou um equivalente, tornando a competência tecnológica um padrão ético exigível. "Eu não sabia que a ferramenta treinava com dados de clientes" não é uma defesa.

Checklist prático para uso jurídico:

• Confirme que o provedor não treina com áudio de clientes (por escrito, no DPA)
• Configure a exclusão automática por um período razoável após o encerramento do caso
• Documente sua diligência devida no dossiê do caso
• Verifique a orientação específica da sua ordem estadual; algumas jurisdições têm requisitos mais estritos que o modelo da ABA

Para uma análise de como o sigilo profissional interage com o armazenamento de transcrições e a descoberta de provas, veja transcrição e sigilo entre advogado e cliente.

Jornalismo

As preocupações com proteção de fontes são diferentes em natureza da conformidade com NDAs. A questão não é se um provedor tem obrigações de confidencialidade, mas se essas obrigações podem sobreviver a uma ordem governamental de entrega compulsória de dados.

Para o jornalismo rotineiro, em que as fontes são identificadas ou o perfil de risco é baixo, a transcrição em nuvem com termos padrão de DPA é adequada. Para o jornalismo de alto risco, envolvendo denunciantes, fontes em jurisdições adversárias ou material classificado, um serviço em nuvem, independentemente do seu DPA, cria um rastro de dados que pode ser objeto de requisição judicial. Nesses casos, a ferramenta certa é local: o Whisper rodando no seu próprio hardware, sem que nenhum áudio saia do seu dispositivo. O preço é a complexidade de configuração e uma precisão ligeiramente menor do que a das APIs de nuvem mais recentes.

Para a maior parte do jornalismo diário, o padrão de transcrição em nuvem funciona bem. Configure a exclusão automática, evite registrar notas que identifiquem fontes junto às transcrições e entenda a jurisdição do seu provedor antes que uma pauta se torne sensível.

Corporativo sensível

Discussões de fusões e aquisições, decisões de pessoal, planejamento estratégico e projeções financeiras são comuns em fluxos de trabalho corporativos de transcrição. A estrutura relevante aqui não é assinar um DPA você mesmo, mas conseguir a aprovação da sua ferramenta de transcrição pelo processo de gestão de fornecedores da sua organização.

Os ciclos de aquisição empresarial para ferramentas de IA hoje duram em média de 6 a 14 semanas, segundo orientações de gestão de fornecedores de 2026, em grande parte porque as revisões de segurança se tornaram o gargalo, não a avaliação de funcionalidades. Planeje-se de acordo se precisar de uma ferramenta de transcrição aprovada para uso com materiais confidenciais.

Os documentos que você normalmente precisará apresentar em uma revisão de segurança de fornecedor:

• O DPA do provedor e a lista de subprocessadores
• Um questionário de segurança de fornecedor preenchido (a maioria dos fornecedores empresariais tem um formato padrão)
• O relatório SOC 2 Tipo 2 do provedor (se sua organização exigir)
• Confirmação por escrito da política de não treinamento

Alguns provedores de transcrição ainda não atingiram o nível de maturidade SOC 2 Tipo 2. Se a sua empresa exige essa certificação, a lista de fornecedores aprovados diminui consideravelmente. Considere isso antes de escolher uma ferramenta, não depois.

Fluxo de aprovação interna

Depois que você entende a camada contratual, o processo de aprovação de qualquer nova ferramenta de transcrição que trate áudio confidencial segue um padrão previsível. Esta é a sequência prática:

Etapa 1: leia o seu NDA subjacente. Ele tem uma exceção para subprocessadores? Se sim, documente isso. Se não, sinalize para alteração contratual antes de prosseguir.

Etapa 2: verifique o DPA do provedor. Ele aborda treinamento, notificação de incidentes, exclusão ao término do contrato e divulgação de subprocessadores? Se o provedor não oferece um DPA ou não compartilha a lista de subprocessadores, pare aqui.

Etapa 3: confirme a política de treinamento por IA. Encontre a linguagem explícita no DPA ou nos termos de serviço, não em material de marketing. "Não usamos dados de clientes para treinar modelos" deve constar em um acordo assinado.

Etapa 4: configure a retenção. Defina a exclusão automática para a janela mais curta viável para o seu fluxo de trabalho. Se o provedor oferece janelas de exclusão configuráveis, use-as. Veja o post sobre exclusão automática de arquivos de transcrição para configurações práticas.

Etapa 5: documente a cadeia. Mantenha um registro dos acordos vigentes: o DPA com o provedor, a lista de subprocessadores do provedor e a linguagem no seu NDA com o cliente que autoriza o uso de subprocessadores. Se um cliente ou regulador perguntar, você precisa ser capaz de apresentar tudo isso.

Etapa 6: treine a equipe. A camada contratual só funciona se quem envia o áudio souber quais categorias de conteúdo exigem esse cuidado. "Todas as chamadas de clientes" é uma política. "Chamadas de clientes sobre estratégia ou fusões e aquisições" é uma política. Uma vaga impressão de que "coisas sensíveis" não deveriam ser enviadas não é.

A configuração única é a maior parte do trabalho. Depois de concluída, o fluxo diário é rotineiro: envie o áudio para uma ferramenta de transcrição de reuniões, revise o resultado, arquive a transcrição. A camada contratual roda silenciosamente em segundo plano.

Quando nenhum contrato é suficiente

Alguns conteúdos não podem ser enviados a nenhum serviço em nuvem, independentemente do DPA:

• Material classificado governamental: exige certificações CJIS, FedRAMP ou equivalentes e redes específicas com habilitação de segurança. Nenhum SaaS comercial de transcrição se qualifica.
• Conteúdo sob ordem judicial de sigilo ativa: a mera existência do conteúdo em um sistema de terceiros já pode ser um problema.
• Material de fonte em que a fonte está em uma jurisdição com leis de divulgação compulsória que anulariam as obrigações contratuais do seu provedor.
• Segredos comerciais em que o risco de exposição é catastrófico e nenhum recurso contratual recomporia a organização após um vazamento.

Para esses casos, o Whisper local é o caminho correto. A diferença de precisão entre um modelo Whisper large-v3 executado localmente e as melhores APIs de nuvem diminuiu, e para material genuinamente crítico, a garantia de privacidade de não haver envolvimento de terceiros supera qualquer vantagem de precisão.

Para todo o resto, o padrão de transcrição em nuvem com um DPA adequado e aprovação documentada é prática padrão em escritórios de advocacia, consultorias e empresas reguladas. Se você precisa de uma transcrição rápida de uma gravação confidencial sem implantar um bot de reuniões, o ConvertAudioToText aceita uploads diretos de arquivos e não treina com áudio de clientes. Mas verifique essa afirmação no DPA, assim como faria com qualquer outro provedor. A camada contratual é o padrão, não a exceção.

FAQ

Enviar áudio para um serviço de transcrição em nuvem viola um NDA?

Depende da redação do NDA. A maioria dos NDAs proíbe divulgação a terceiros sem consentimento, e um serviço em nuvem é um terceiro. No entanto, a maioria dos NDAs comerciais modernos inclui uma exceção para subprocessadores: o destinatário pode usar serviços em nuvem desde que esses serviços estejam vinculados a obrigações equivalentes de confidencialidade. Se o seu NDA é anterior a esse tipo de cláusula, você precisa de uma alteração contratual ou de um consentimento por escrito separado antes de enviar.

O que um DPA com um provedor de transcrição deve incluir de fato?

No mínimo: obrigação de processar o áudio apenas para prestar o serviço; proibição de usar o áudio para treinamento de modelos de IA sem consentimento; lista de subprocessadores com aviso prévio; notificação de incidentes dentro de um prazo definido (de 24 a 72 horas é comum); exclusão dos dados ao término do contrato; e, se o áudio cruzar fronteiras da UE, incorporação das Cláusulas Contratuais Padrão ou de um mecanismo equivalente de transferência nos termos do Artigo 46 do GDPR.

Quais perguntas devo fazer a um fornecedor de transcrição sobre sua cadeia de subprocessadores?

Peça a lista atual de subprocessadores e os termos de DPA que eles impõem a cada um. As perguntas críticas são: qual provedor de modelo de IA processa o áudio, se esse provedor tem um acordo de retenção zero de dados vigente e se ele usa áudio de clientes para treinar modelos futuros. Um fornecedor que não consegue responder a essas perguntas por escrito deve ser tratado como de alto risco para trabalhos confidenciais.

Advogados podem usar ferramentas de transcrição por IA para gravações de clientes?

Em geral sim, com diligência devida. A Opinião Formal 477R da ABA (2017) permite computação em nuvem para dados de clientes se os advogados realizarem diligência razoável de segurança proporcional à sensibilidade. A opinião 2025-6 da Ordem dos Advogados da Cidade de Nova York acrescenta que os advogados devem obter consentimento do cliente antes de gravar, verificar independentemente a precisão da transcrição e entender se a ferramenta treina com o conteúdo. Muitas ordens estaduais seguem raciocínio semelhante, mas os detalhes variam, então verifique as regras de ética da sua jurisdição.

Fontes

• GDPR Artigo 28: obrigações do operador
• Opinião Formal 2025-6 da Ordem dos Advogados de Nova York: questões éticas do uso de IA para gravar, transcrever e resumir
• Opinião Formal 477R da ABA (segurança em nuvem e ética do advogado)
• Acordo de Tratamento de Dados da Fireflies.ai
• Adendo de Tratamento de Dados da Otter.ai
• Ferramentas de anotação por IA sob fogo cruzado: lições da ação coletiva contra a Otter.ai
• Comissão Europeia: Cláusulas Contratuais Padrão
• ICO: o que deve constar no contrato (DPA do Artigo 28)
• Fluxo de integração de fornecedores 2026: Moxo